---
cve: "CVE-2022-31736"
severity: "CRITICAL"
cvss: 9.8
epss: "1.1%"
vendor: "Mozilla"
kev: false
exploited: false
published: "2022-12-22 20:15:27"
tags: [cve, security, critical]
source: tsecurity.de CVE-Dossier
exported: "2026-10-30T07:23:09+01:00"
---

# CVE-2022-31736

> 9.8 CRITICAL

## Beschreibung

A malicious website could have learned the size of a cross-origin resource that supported Range requests. This vulnerability affects Thunderbird < 91.10, Firefox < 101, and Firefox ESR < 91.10.

## CNA-Record (Kanon, cvelistV5)

- CNA: **mozilla**
- State: PUBLISHED
- Stand: 2025-04-15 14:58:07

## CISA-Anreicherung (vulnrichment/ADP)

- CISA-SSVC (Coordinator, v2.0.3):
  - Exploitation: **none**
  - Automatable: **yes**
  - Technical Impact: **total**

## CVSS-Vektor

```
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
```

| Metrik | Wert | Bewertung |
|---|---|---|
| AV Angriffsvektor | Netzwerk | bad |
| AC Komplexität | Gering | bad |
| PR Privilegien | Keine | bad |
| UI Interaktion | Keine | bad |
| S Scope | Unverändert | good |
| C Vertraulichkeit | Hoch | bad |
| I Integrität | Hoch | bad |
| A Verfügbarkeit | Hoch | bad |

## Schwachstellen-Klasse

- **CWE-942** — Permissive Cross-domain Security Policy with Untrusted Domains
  The product uses a web-client protection mechanism such as a Content Security Policy (CSP) or cross-domain policy file, but the policy includes untrusted domains with which the web client is allowed to communicate.

## BSI-Hinweise (deutsch)

- [Xerox FreeFlow Print Server: Mehrere Schwachstellen](https://wid.cert-bund.de/portal/wid/sicherheitshinweis/WID-SEC-W-2022-1335) — _BSI-Einstufung: hoch_
  Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Xerox FreeFlow Print Server ausnutzen, um die Vertraulichkeit, Verfügbarkeit und Integrität des Systems zu gefährden.
- [Mozilla Firefox und Thunderbird: Mehrere Schwachstellen ermöglichen Codeausführung](https://wid.cert-bund.de/portal/wid/sicherheitshinweis/WID-SEC-W-2022-0019) — _BSI-Einstufung: hoch_
  Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Mozilla Firefox, Mozilla Firefox ESR und Mozilla Thunderbird ausnutzen, um beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen offenzulegen, falsche Informationen darzustellen und einen Denial-of-Service-Zustand zu verursachen.

## Referenzen

- <https://www.mozilla.org/security/advisories/mfsa2022-20/>
- <https://www.mozilla.org/security/advisories/mfsa2022-22/>
- <https://www.mozilla.org/security/advisories/mfsa2022-21/>
- <https://bugzilla.mozilla.org/show_bug.cgi?id=1735923>

---
_Exportiert aus dem [tsecurity.de CVE-Dossier](https://tsecurity.de/sicherheitsluecken/cve-2022-31736/) · Datenquellen: EUVD (ENISA), NVD, OSV, CISA KEV, FIRST EPSS, Exploit-DB, BSI WID (CSAF)_